ഒരു സിമ്പിൾ ഫോർമാറ്റ് സ്ട്രിംഗ് ബഗ് മെമ്മറി കറപ്ഷനിലേക്ക് എങ്ങനെ നയിച്ചേക്കാം (നിങ്ങളുടെ കോഡിൽ അത് എങ്ങനെ കണ്ടെത്താം)

CI/CD Pipelines: ഇത് നിങ്ങളുടെ സുരക്ഷാ പരിശോധനകളെ എങ്ങനെ മറികടക്കുന്നു

ആധുനികമായ pipelineവേഗതയ്ക്കായിട്ടാണ് s രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത്, പക്ഷേ ആ വേഗത ബ്ലൈൻഡ് സ്പോട്ടുകൾ അവതരിപ്പിക്കുന്നു:

• SAST ഉപകരണങ്ങൾ കളങ്കപ്പെട്ട ഡാറ്റ കണ്ടെത്തുന്നതിനായി പ്രത്യേകം കോൺഫിഗർ ചെയ്തിട്ടില്ലെങ്കിൽ, ഡൈനാമിക് ഫോർമാറ്റ് സ്ട്രിംഗ് ഉപയോഗം അപൂർവ്വമായി മാത്രമേ പിടിക്കൂ.
  
• പിആർ അവലോകകർ സി ഫംഗ്ഷൻ സ്വഭാവത്തിന് അടിസ്ഥാനമായല്ല, യുക്തിയിലോ ശൈലിയിലോ ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നു.
  
• ഉപരിതലത്തിൽ നിരുപദ്രവകരമായി തോന്നുന്ന ദുർബലമായ പാക്കേജുകളെ CI ലയനങ്ങൾ പുൾ ഇൻ ചെയ്യുന്നു.
  
• ഡിപൻഡൻസി സ്കാനറുകൾ പലപ്പോഴും നേറ്റീവ് കോഡ് അല്ലെങ്കിൽ സുരക്ഷിതമല്ലാത്ത ലോഗിംഗ് ലോജിക് അവഗണിക്കുക

Standard SAST നോൺ-ലിറ്ററൽ ഫോർമാറ്റ് ആർഗ്യുമെന്റുകൾ കണ്ടെത്തുന്നതിന് കസ്റ്റം നിയമങ്ങൾ നടപ്പിലാക്കിയില്ലെങ്കിൽ, ടൂളുകൾക്ക് പലപ്പോഴും ഫോർമാറ്റ് സ്ട്രിംഗ് ബഗുകൾ കണ്ടെത്തുന്നതിൽ പരാജയപ്പെടും. ഈ അനുയോജ്യമായ പരിശോധനകൾ ഇല്ലാതെ, ഡൈനാമിക് ഫോർമാറ്റ് സ്ട്രിംഗുകൾ കണ്ടെത്താനാകാതെ എളുപ്പത്തിൽ വഴുതിവീഴും.

ഫോർമാറ്റ് സ്ട്രിംഗ്-നിർദ്ദിഷ്ട നിയമങ്ങൾ സംയോജിപ്പിക്കുന്നു CI/CD ഈ ബഗുകളെ നേരത്തെ തിരിച്ചറിയുന്നതിനും തടയുന്നതിനും അത്യന്താപേക്ഷിതമാണ്. ഇതിനർത്ഥം:

• വിശ്വസനീയമല്ലാത്ത ഇൻപുട്ടുകൾ ഫോർമാറ്റിംഗ് ഫംഗ്ഷനുകളിൽ എത്തുന്നിടത്ത് കോഡ് തടയൽ
  
• സ്റ്റാറ്റിക് വിശകലന സമയത്ത് ഡൈനാമിക് ഫോർമാറ്റ് സ്ട്രിംഗുകൾ ഫ്ലാഗ് ചെയ്യുന്നു
  
• നിങ്ങളുടെ CI ലയന പ്രക്രിയയുടെ ഭാഗമായി ഈ നയങ്ങൾ നടപ്പിലാക്കൽ
  

ഇത് കൂടാതെ, നിങ്ങളുടെ pipeline കോഡ് ഉൽ‌പാദനത്തിൽ എത്തുന്നതിനു വളരെ മുമ്പുതന്നെ, മെമ്മറി കറപ്ഷനിലേക്കും ആർ‌സി‌ഇയിലേക്കും നയിച്ചേക്കാവുന്ന ഒരു തരം ദുർബലതകളെക്കുറിച്ച് അദ്ദേഹം അന്ധനാണ്.

ബഗ് കണ്ടെത്തൽ: GDB, സ്റ്റാറ്റിക് ടൂളുകൾ എന്നിവ ഉപയോഗിച്ച് പ്രായോഗിക കണ്ടെത്തൽ

ഈ ബഗുകൾ കണ്ടെത്തി സ്ഥിരീകരിക്കുന്നതിന്, മാനുവൽ ഡീബഗ്ഗിംഗും ഓട്ടോമേറ്റഡ് സ്റ്റാറ്റിക് വിശകലനവും സംയോജിപ്പിച്ച് ഉപയോഗിക്കുക.

GDB ഉപയോഗിച്ചുള്ള മാനുവൽ വിശകലനം:

ഫോർമാറ്റ് സ്ട്രിംഗ് ദുരുപയോഗം സംശയിക്കുമ്പോഴും റൺടൈമിൽ അത് എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് സ്ഥിരീകരിക്കേണ്ടതുണ്ടെങ്കിലും GDB പ്രത്യേകിച്ചും ഉപയോഗപ്രദമാണ്:

• ബ്രേക്ക് ഓൺ printf അല്ലെങ്കിൽ അനുബന്ധ പ്രവർത്തനങ്ങൾ കോൾ സ്റ്റാക്കും ആർഗ്യുമെന്റുകളും പരിശോധിക്കാൻ.
  
• സ്റ്റാക്കിൽ അപാകതകൾ, അപ്രതീക്ഷിത മെമ്മറി റീഡുകൾ, ഫോർമാറ്റിംഗ് സമയത്ത് ക്രാഷുകൾ, അല്ലെങ്കിൽ വിചിത്രമായ മൂല്യങ്ങൾ എന്നിവ തിരയുക.
  
• ആവർത്തിച്ചുള്ളതുപോലുള്ള അമൂർത്ത ഇൻപുട്ട് %x or %s ഫോർമാറ്റ് സ്ട്രിംഗ് സ്റ്റാക്കിലൂടെ എത്ര ആഴത്തിൽ സഞ്ചരിക്കുന്നുവെന്ന് തിരിച്ചറിയാൻ സഹായിക്കും.
  

മാനുവൽ മുതൽ ഓട്ടോമേറ്റഡ് വരെ:

ദുരുപയോഗത്തിന്റെ ഒരു രീതി നിങ്ങൾ നേരിട്ട് സ്ഥിരീകരിച്ചുകഴിഞ്ഞാൽ, അടുത്ത ഘട്ടം ആ ഉൾക്കാഴ്ചയെ ഒരു ഓട്ടോമേറ്റഡ് നിയമമാക്കി മാറ്റുക എന്നതാണ്. ഉദാഹരണത്തിന്:

• ഉപയോഗം grep 'printf(' src/' എന്നതിൽ നിന്ന് വ്യത്യസ്തമായി 'printf റോ ഫോർമാറ്റിംഗ് കോളുകൾ കണ്ടെത്താൻ.
  
• ഏത് ഉപയോഗവും ഫ്ലാഗ് ചെയ്യുന്നതിന് ഇത് സ്ക്രിപ്റ്റിംഗുമായി സംയോജിപ്പിക്കുക printf( ആദ്യത്തെ വാദം എവിടെയാണ് അല്ല ഒരു അക്ഷരീയ സ്ട്രിംഗ്.
  
• ഫോർമാറ്റ് സ്ട്രിംഗ് മൂല്യങ്ങൾ കണ്ടെത്തുന്നതിനും, അക്ഷരീയമല്ലാത്ത പാതകളെ ചലനാത്മകമായി തിരിച്ചറിയുന്നതിനും AST-അധിഷ്ഠിത ഉപകരണങ്ങൾ ഉപയോഗിക്കുക.
  
• വിശ്വസനീയമല്ലാത്ത ഇൻപുട്ട് ഫോർവേഡ് ചെയ്യുന്ന റാപ്പർ ഫംഗ്‌ഷനുകൾ പോലുള്ള പതിവ് മാനുവൽ കണ്ടെത്തലുകൾ, ഈ കേസുകൾ സ്വയമേവ തടയുന്ന CI നിയമങ്ങളിലേക്ക് വിവർത്തനം ചെയ്യുക.
  

CI ഇന്റഗ്രേഷൻ നുറുങ്ങ്: നിങ്ങളുടെ കോൺഫിഗർ ചെയ്യുക pipeline ഏതെങ്കിലും ഫോർമാറ്റ് ഫംഗ്ഷൻ അതിന്റെ ഫോർമാറ്റ് സ്ട്രിംഗായി ഡൈനാമിക് ഇൻപുട്ട് സ്വീകരിക്കുകയാണെങ്കിൽ ബിൽഡുകൾ പരാജയപ്പെടും. GDB, റൺടൈം ഡീബഗ്ഗിംഗ് എന്നിവയിൽ നിന്ന് നിങ്ങൾ പഠിച്ച കാര്യങ്ങൾ നടപ്പിലാക്കുന്ന ഒരു ഫയർവാൾ ആയി ഈ പരിശോധനകൾ പ്രവർത്തിക്കുന്നു.